CVE-2026-16584

WysokieCVSS 7.0

Opublikowano: 23/07/2026(UTC)Zaktualizowano: 24/10/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Nieprawidłowe obsłużenie błędu inicjalizacji w AWS API MCP Server (wersje 0.2.13 do 1.3.46) może pozwolić atakującemu na ominięcie skonfigurowanej polityki bezpieczeństwa i wykonanie operacji AWS API, które polityka miała blokować. Gdy inicjalizacja danych egzekwowania polityki nie powiedzie się przy starcie serwera, sprawdzanie polityki jest pomijane przez cały czas działania procesu. Uprawnienia IAM na skonfigurowanych poświadczeniach pozostają w mocy.

Ocena ryzyka

Atakujący może ominąć politykę bezpieczeństwa i wykonać nieautoryzowane operacje AWS API, co może prowadzić do naruszenia poufności, integralności lub dostępności zasobów AWS.

Rekomendacja

Zaktualizuj AWS API MCP Server do wersji 1.3.47 lub nowszej, która zawiera poprawkę.

Inne podatności w AWS API MCP Server

CVE-2026-115413Wysokie
Brak walidacji odbiorcy tokena w trybie uwierzytelniania OAuth w AWS API MCP Server przed wersją 1.6.0 może pozwolić lokalnym użytkownikom na wykonywanie operacji AWS przy użyciu skonfigurowanych poświadczeń serwera za pomocą tokena dostępu wydanego innej aplikacji przez tego samego dostawcę tożsamości.

Oryginalny opis (angielski, źródło NVD)

Improper handling of an initialization failure in AWS API MCP Server from 0.2.13 through 1.3.46 might allow an actor to bypass the user-configured security policy and execute AWS API operations that the policy was set to deny or gate. When initialization of the security policy enforcement data fails at server startup, the policy check is skipped for the lifetime of the process. IAM permissions on the configured credentials remain in effect and are unaffected. To remediate this issue, users should upgrade to version 1.3.47.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS